NPM ने 15 हजार फिशिंग आणि स्पॅम पॅकेजेस ओळखले

NPM निर्देशिकेच्या वापरकर्त्यांवर हल्ला नोंदवला गेला, परिणामी 20 फेब्रुवारी रोजी NPM रेपॉजिटरीमध्ये 15 हजारांहून अधिक पॅकेजेस पोस्ट करण्यात आल्या, ज्याच्या README फाईल्समध्ये फिशिंग साइट्सच्या लिंक्स किंवा रॉयल्टीवरील क्लिकसाठी संदर्भ लिंक्स होत्या. दिले जातात. विश्लेषणादरम्यान, पॅकेजमध्ये 190 अद्वितीय फिशिंग किंवा जाहिरात लिंक्स ओळखल्या गेल्या, ज्यात 31 डोमेन समाविष्ट आहेत.

पॅकेजची नावे सामान्य लोकांची आवड आकर्षित करण्यासाठी निवडली गेली, उदाहरणार्थ, “फ्री-टिकटॉक-फॉलोअर्स”, “फ्री-एक्सबॉक्स-कोड्स”, “इन्स्टाग्राम-फॉलोअर्स-फ्री” इ. स्पॅम पॅकेजेससह NPM मुख्य पृष्ठावरील अलीकडील अद्यतनांची यादी भरण्यासाठी गणना केली गेली. पॅकेजच्या वर्णनामध्ये मोफत भेटवस्तू, भेटवस्तू, गेम चीट्स, तसेच टिकटोक आणि इंस्टाग्राम सारख्या सोशल नेटवर्क्सवर फॉलोअर्स आणि लाईक्स वाढवण्यासाठी मोफत सेवा देण्याचे वचन दिले होते. हा असा पहिला हल्ला नाही; डिसेंबरमध्ये, 144 हजार स्पॅम पॅकेजेसचे प्रकाशन NuGet, NPM आणि PyPi निर्देशिकांमध्ये नोंदवले गेले.

पॅकेजेसची सामग्री स्वयंचलितपणे पायथन स्क्रिप्ट वापरून व्युत्पन्न केली गेली जी अनवधानाने पॅकेजमध्ये सोडली गेली होती आणि हल्ल्यामध्ये वापरलेली कार्य क्रेडेन्शियल्स समाविष्ट केली होती. पॅकेजेस अनेक वेगवेगळ्या खात्यांतर्गत अशा पद्धतींचा वापर करून प्रकाशित करण्यात आली ज्याने ट्रेल उलगडणे आणि समस्याग्रस्त पॅकेजेस त्वरीत ओळखणे कठीण केले.

फसव्या क्रियाकलापांव्यतिरिक्त, दुर्भावनापूर्ण पॅकेजेस प्रकाशित करण्याचे अनेक प्रयत्न NPM आणि PyPi भांडारांमध्ये देखील आढळून आले:

• PyPI रेपॉजिटरीमध्ये 451 दुर्भावनापूर्ण पॅकेजेस आढळून आली, ज्यांनी टाइपक्वॉटिंग (वैयक्तिक वर्णांमध्ये भिन्न असलेली समान नावे नियुक्त करणे, उदाहरणार्थ, vyper ऐवजी vper, bitcoinlib ऐवजी bitcoinnlib, cryptofeed ऐवजी ccryptofeed, ccxtt ऐवजी ccryptofeed) वापरून काही लोकप्रिय लायब्ररी म्हणून वेश धारण केले. ccxt, cryptocompare ऐवजी cryptocommpare, seleium ऐवजी selenium, pinstaller ऐवजी pyinstaller, इ.). पॅकेजमध्ये क्रिप्टोकरन्सी चोरण्यासाठी अस्पष्ट कोडचा समावेश होता, ज्याने क्लिपबोर्डमध्ये क्रिप्टो वॉलेट आयडेंटिफायरची उपस्थिती शोधली आणि ते हल्लेखोराच्या वॉलेटमध्ये बदलले (असे गृहीत धरले जाते की पेमेंट करताना, क्लिपबोर्डद्वारे वॉलेट नंबर हस्तांतरित केल्याचे पीडित व्यक्तीच्या लक्षात येणार नाही. भिन्न आहे). प्रतिस्थापन ब्राउझर अॅड-ऑनद्वारे केले गेले होते जे पाहिलेल्या प्रत्येक वेब पृष्ठाच्या संदर्भात कार्यान्वित केले गेले होते.
• PyPI रेपॉजिटरीमध्ये दुर्भावनापूर्ण HTTP लायब्ररींची मालिका ओळखली गेली आहे. 41 पॅकेजेसमध्ये दुर्भावनायुक्त क्रियाकलाप आढळून आला, ज्यांची नावे टाइपक्वाटिंग पद्धती वापरून निवडली गेली आणि लोकप्रिय लायब्ररींसारखी (aio5, requestst, ulrlib, urllb, libhttps, piphttps, httpxv2, इ.) स्टफिंगची शैली कार्यरत HTTP लायब्ररींसारखी होती किंवा विद्यमान लायब्ररींचा कोड कॉपी केला होता आणि वर्णनात वैध HTTP लायब्ररींशी फायदे आणि तुलना केल्याबद्दल दावे समाविष्ट होते. दुर्भावनापूर्ण क्रियाकलापांमध्ये एकतर सिस्टमवर मालवेअर डाउनलोड करणे किंवा संवेदनशील डेटा गोळा करणे आणि पाठवणे यांचा समावेश होतो.
• NPM ने 16 JavaScript पॅकेजेस (स्पीडट*, ट्रोवा*, लागरा) ओळखले, ज्यात, नमूद केलेल्या कार्यक्षमतेव्यतिरिक्त (थ्रूपुट चाचणी), वापरकर्त्याच्या माहितीशिवाय क्रिप्टोकरन्सी खाण करण्यासाठी कोड देखील समाविष्ट आहे.
• NPM ने 691 दुर्भावनापूर्ण पॅकेजेस ओळखले. बहुतेक समस्याप्रधान पॅकेजेस हे Yandex प्रोजेक्ट्स (yandex-logger-sentry, yandex-logger-qloud, yandex-sendms, इ.) असल्याचे भासवतात आणि बाह्य सर्व्हरवर गोपनीय माहिती पाठवण्याचा कोड समाविष्ट करतात. असे गृहित धरले जाते की ज्यांनी पॅकेज पोस्ट केले ते यॅन्डेक्स (अंतर्गत अवलंबित्व बदलण्याची पद्धत) मध्ये प्रकल्प एकत्र करताना त्यांच्या स्वत: च्या अवलंबित्वाचा पर्याय प्राप्त करण्याचा प्रयत्न करीत होते. PyPI रेपॉजिटरीमध्ये, त्याच संशोधकांना 49 पॅकेजेस (reqsystem, httpxfaster, aio6, gorilla2, httpsos, pohttp, इ.) अस्पष्ट दुर्भावनायुक्त कोड आढळले जे बाह्य सर्व्हरवरून एक एक्झिक्यूटेबल फाइल डाउनलोड आणि चालवतात.

स्त्रोत: opennet.ru